MAYAChain ferma la rete dopo un exploit stimato in 1,7 milioni di dollari

[Aggiornamento, 09:25 UTC, 19 agosto: aggiunti dettagli sui meccanismi dell’exploit e sul suo impatto sui pool di liquidità di MAYAChain.]

L’exchange decentralizzato (DEX) cross-chain Maya Protocol ha fermato la propria rete dopo che un aggressore ha sfruttato una serie di falle nel software per ottenere circa 1,7 milioni di dollari in criptovalute.

Mercoledì, il cofondatore pseudonimo di Maya Protocol, Aalux ha dichiarato che l’aggressore ha rubato circa 20 Bitcoin, per un valore di 1,4 milioni di dollari, oltre ad altri asset per 300.000 dollari. Ha aggiunto che il blocco ha impedito ulteriori danni e che il team aveva iniziato a lavorare a una soluzione per riprendere gli swap.

Un’analisi tecnica preliminare condivisa da Aalux ha attribuito l’incidente a sei bug concatenati riguardanti gli account di trading, la gestione delle transazioni in uscita e i calcoli dei pool di liquidità. 

Sebbene l’analisi abbia stimato il bottino dell’aggressore in circa 1,7 milioni di dollari, ha stimato che i pool di MAYAChain abbiano perso circa 10,9 milioni di dollari di valore, comprese le perdite derivanti dall’arbitraggio e dal collasso di CACAO.

Cointelegraph ha contattato Aalux e il team di Maya per ulteriori informazioni, ma non ha ricevuto risposta. 

Come si è svolto l’exploit di MAYAChain

Maya Protocol è una rete cross-chain costruita a partire dal codice open source di THORChain e progettata per integrarlo. CACAO è il token per il gas e il regolamento di MAYAChain ed è abbinato agli asset supportati nei suoi pool di liquidità. 

Secondo l’analisi, la transazione ha sovrascritto i record che tracciavano i trasferimenti in uscita, facendo classificare i trasferimenti come mancanti. Ciò ha attivato un meccanismo di protezione dai furti, che ha calcolato erroneamente la compensazione per il pool di Arbitrum Chainlink (ARB.LINK) di Maya, caratterizzato da bassa liquidità, accreditandogli erroneamente 49,45 milioni di CACAO.

Correlato: BitBox corregge le falle ‘gravi’ dei wallet che potrebbero mettere a rischio i fondi

Il trasferimento destinato a finanziare tale accredito è fallito perché la riserva di Maya non conteneva CACAO a sufficienza, ma il saldo gonfiato del pool è rimasto. L’aggressore ha quindi aggiunto una liquidità trascurabile, ha acquisito il 99,93% del pool e ha prelevato 48,87 milioni di CACAO da Asgard, che detiene gli asset del protocollo.  

Il ricercatore indipendente di sicurezza blockchain Vini Barbosa ha riassunto i risultati e ha osservato che CACAO è sceso dell’88,7%, da circa 0,115 a 0,013 dollari durante l’incidente. 

Aalux ha dichiarato che il team avrebbe cercato di ottenere la restituzione dei fondi rubati tramite un programma di bug bounty e avrebbe lavorato per ripristinare la liquidità. 

Rivista: Le ‘voci fabbricate’ sul fondatore di BitMart e le Binance bStocks dominano: Asia Express